Ved du, hvornår du må behandle personoplysninger?

Datatilsynets afgørelse

Ved en gennemgang af sagen fandt Datatilsynet, at IDA Forsikrings behandling af personoplysninger ved at optage og analysere indkomne telefonsamtaler skete inden for rammerne af databeskyttelsesreglerne.

Datatilsynet fandt imidlertid, at processen for indhentelse af samtykke fra den person, der ringer ind, på daværende tidspunkt ikke levede op til databeskyttelsesreglerne.

Begrundelse for Datatilsynets afgørelse

IDA Forsikring behandler personoplysninger om medlemmer/forsikringstagere mv. som led i foreningens daglige virke. Behandlingen af personoplysninger skal have et behandlingsgrundlag i databeskyttelsesforordningen for at være lovlig.

IDA Forsikring har vurderet, at optagelse og opbevaring af telefonsamtaler til dokumentations- og kvalitetssikringsformål bør ske på grundlag af et samtykke i henhold til databeskyttelsesforordningens artikel 6, stk. 1, litra a, og artikel 9 stk. 2, litra a, fra personen, der ringer ind.

IDA Forsikring har endvidere vurderet, at optagelse og opbevaring af oplysninger om medarbejdere kan ske på baggrund af interesseafvejningsreglen i artikel 6, stk. 1, litra f.  

Datatilsynet har udelukkende forholdt sig til disse grundlag og dermed ikke taget stilling til, om behandlingen kunne ske på andet grundlag.

Gyldigt samtykke

Betingelserne for et gyldigt samtykke fremgår af databeskyttelsesforordningens artikel 4, nr. 11, og artikel 7. Et gyldigt samtykke forudsætter, at samtykket er frivilligt, specifikt, informeret og udtryk for en utvetydig viljestilkendegivelse.

Særligt kravet om frivillighed blev midtpunkt for afgørelsen. Et samtykke er afgivet frivilligt, hvis den registrerede reelt har et frit valg. Dette betyder, at den registrerede skal have mulighed for at give særskilt samtykke til forskellige behandlingsformål.

Datatilsynet fandt, at en person, der ringede til IDA Forsikring, alene kunne afgive ét samlet samtykke til både dokumentations- og kvalitetsformål. Den registrerede havde dermed kun mulighed for at samtykke til samtlige formål.

Datatilsynet vurderede på den baggrund, at det samtykke, IDA Forsikring indhentede i forbindelse med et opkald til kundeservice, ikke var tilstrækkelig opdelt og derfor ikke kunne anses for frivilligt i databeskyttelsesforordningens forstand.

Samtykket var dermed ikke gyldigt og kunne ikke udgøre et behandlingsgrundlag.

Særligt ved samtykke til flere behandlingsformål

Datatilsynet har ikke tidligere forholdt sig til, hvordan samtykke skal indhentes telefonisk, når den dataansvarlige har flere formål. Datatilsynet fandt på den baggrund ikke konkret anledning til at udtale kritik.

IDA Forsikring skal dog fremover sikre sig, at processen i forbindelse med optagelse af telefonsamtaler sker i overensstemmelse med databeskyttelsesreglerne.

Brug af kunstig intelligens

IDA Forsikring har oplyst, at de benytter kunstig intelligens til at analysere de optagne telefonsamtaler. Som en del af kvalitetssikringen sendes optagelserne til analyse ved en databehandler, som omdanner filerne til tekstgrundlag ved brug af egenudviklet talegenkendelse.

Datatilsynet fandt, at IDA Forsikrings analyse ved brug af kunstig intelligens sker inden for rammerne af databeskyttelsesforordningens regler.

Afgørelsens betydning

Afgørelsen fra Datatilsynet understreger vigtigheden af at sikre, at samtykkeprocedurer overholder databeskyttelsesreglerne. IDA Forsikring skal nu tilpasse deres praksis for indhentelse af samtykke, så det er klart og frivilligt i henhold til databeskyttelsesforordningens krav. Dette skaber en præcedens for, hvordan dataansvarlige skal indhente telefonisk samtykke i tilfælde af flere behandlingsformål.

Det må ud fra afgørelsen forventes, at der i fremtidige afgørelser ved Datatilsynet vil blive udtalt kritik, hvis flere formål ikke er opdelt i forbindelse med indhentelse af samtykke til behandling af personoplysninger.

Vil du læse mere om Datatilsynets fokusområder for 2024, så kan du læse vores tidligere artikel her.

Vi står klar til at hjælpe

Det kan være svært for virksomheder at vurdere, om de lever op til kravene for databehandling. Vores advokat Mads Balle Christensen er specialist inden for complianceområdet og står klar til at hjælpe jeres virksomhed med udfordringer indenfor databeskyttelsesområdet.